本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 多帳戶環境的最佳實務
<a name="orgs_best-practices"></a>

請遵循這些建議，協助您逐步設定和管理多帳戶環境 AWS Organizations。

**Topics**
+ [帳戶和登入資料](#orgs_best-practices-account-management)
+ [組織結構和工作負載](#orgs_best-practices-organization-structure)
+ [服務和成本管理](#orgs_best-practices-service-cost-management)

## 帳戶和登入資料
<a name="orgs_best-practices-account-management"></a>

### 啟用根存取管理，以簡化管理成員帳戶的根使用者憑證
<a name="bp_root-access-management"></a>

我們建議您啟用根存取管理，以協助您監控和移除成員帳戶的根使用者憑證。根存取管理可防止根使用者憑證的復原，從而改善組織中的帳戶安全性。
+ 移除成員帳戶的根使用者憑證，以防止 登入根使用者。這也可防止成員帳戶復原根使用者。
+ 擔任特殊權限工作階段，在成員帳戶上執行下列任務：
  + 移除設定錯誤的儲存貯體政策，此政策拒絕所有主體存取 Amazon S3 儲存貯體。
  + 刪除拒絕所有主體存取 Amazon SQS 佇列的 Amazon Simple Queue Service 資源型政策。
  + 允許成員帳戶復原其根使用者憑證。有權存取成員帳戶根使用者電子郵件收件匣的人員可以重設根使用者密碼，並以成員帳戶根使用者身分登入。

啟用根存取管理後，新建立的成員帳戶預設是secure-by-default，沒有根使用者憑證，因此不需要額外的安全性，例如佈建後的 MFA。

如需詳細資訊，請參閱*AWS Identity and Access Management 《 使用者指南*》中的[集中成員帳戶的根使用者憑證](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_root-user.html#id_root-user-access-management)。

### 讓聯絡電話號碼維持在最新狀態
<a name="bp_multi-acct_keep-contact"></a>

若要復原對 的存取權 AWS 帳戶，請務必擁有有效且作用中的聯絡電話號碼，以允許您接收文字訊息或通話。我們建議您使用專用電話號碼，以確保 AWS 可以聯絡您以取得帳戶支援和復原。您可以透過 AWS 管理主控台 或帳戶管理 APIs 輕鬆檢視和管理您的帳戶電話號碼。

有多種方式可以取得專用電話號碼，確保 AWS 可以與您聯絡。我們強烈建議您購買專用的 SIM 卡和實體電話。長期安全地存放手機和 SIM 卡，確保電話號碼仍可用於帳戶復原。還要確保負責行動帳單的團隊瞭解此號碼的重要性，即使號碼長時間不使用。您必須在組織內將此電話號碼保密以獲得額外的保護。

在 AWS 聯絡資訊主控台頁面中記錄電話號碼，並與組織中必須知道該電話號碼的特定團隊分享其詳細資訊。此方法有助於將電話號碼轉移到其他 SIM 卡的相關風險降至最低。根據您現有的資訊安全政策存放手機。不過，請勿將手機存放在與其他相關憑證資訊相同的位置。應記錄並監控任何對手機的存取或其儲存位置。如果與帳戶關聯的電話號碼有所更動，請實作程序以更新現有文件中的電話號碼。

### 使用適用於所有根帳戶的群組電子郵件地址
<a name="bp_multi-acct_use-group"></a>

使用由您的企業管理的電子郵件地址。使用電子郵件地址，直接將收到的訊息轉寄給使用者群組。如果 AWS 必須聯絡帳戶的擁有者，例如，為了確認存取，電子郵件訊息會分發給多方。這種方法有助於減少回應延遲的風險，即使個人在度假、請病假或離開公司。

## 組織結構和工作負載
<a name="orgs_best-practices-organization-structure"></a>

### 在單一組織內管理您的帳戶
<a name="bp_multi-acct_single-org"></a>

我們建議您建立單一組織，並管理您在此組織內的所有帳戶。組織是一種安全性界限，可讓您在環境中維持各個帳戶之間的一致性。您可以跨組織內的帳戶集中套用政策或服務層級組態。如果您想要在多帳戶環境中啟用一致的政策、集中式可見性和程式設計控制，最好在單一組織中達成此目標。

### 根據業務目的而非報告結構來群組工作負載
<a name="bp_multi-acct_group-workloads"></a>

我們建議您將生產工作負載環境和資料隔離在頂層工作負載導向 OU 下。您的 OU 應以一組通用的控制項為基礎，而非仿照公司的報告結構。除了生產 OU 之外，我們建議您定義一或多個非生產 OU，其中包含用於開發和測試工作負載的帳戶和工作負載環境。如需其他指引，請參閱「[組織以工作負載為導向的 OU](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/organizing-workload-oriented-ous.html)」。

### 使用多個帳戶來組織您的工作負載
<a name="bp_multi-acct_use-multiple"></a>

為您的 AWS 資源 AWS 帳戶 提供自然的安全性、存取權和帳單界限。使用多個帳戶有好處，因為它可以讓您分配帳戶級別配額和 API 請求率限制，並且享有此處列出的[其他好處](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/benefits-of-using-multiple-aws-accounts.html)。我們建議您使用一些[全組織的基本帳戶](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/recommended-ous-and-accounts.html)，例如安全性、記錄和基礎架構的帳戶。對於工作負載帳戶，您應該[在不同帳戶中將生產工作負載與測試/開發工作負載分開](https://docs.aws.amazon.com/whitepapers/latest/organizing-your-aws-environment/design-principles-for-your-multi-account-strategy.html#separate-production-from-non-production-workloads)。

## 服務和成本管理
<a name="orgs_best-practices-service-cost-management"></a>

### 使用 AWS 服務主控台或 API/CLI 操作在組織層級啟用服務
<a name="bp_multi-acct_enable-aws"></a>

最佳實務是，建議您 AWS Organizations 使用服務主控台或 API 操作/CLI 命令對等項目，啟用或停用您想要與 整合的任何服務。使用此方法， AWS 服務可以為您的組織執行所有必要的初始化步驟，例如建立任何必要的資源，並在停用服務時清除資源。 AWS 帳戶管理 是唯一需要使用 AWS Organizations 主控台或 APIs啟用的服務。若要檢閱與 整合的服務清單 AWS Organizations，請參閱 [AWS 服務 您可以搭配 使用 AWS Organizations](orgs_integrate_services_list.md)。

### 使用帳單工具追蹤成本並最佳化資源用量
<a name="bp_multi-acct_use-billing"></a>

管理組織時，您會收到一份合併帳單，其中涵蓋了組織中帳戶的所有費用。對於需要存取成本可見度的企業使用者，您可以在管理帳戶中提供具有受限唯讀權限的角色來檢閱帳單和成本工具。例如，您可以[建立可存取帳單報告的權限集](https://docs.aws.amazon.com/singlesignon/latest/userguide/howtocreatepermissionset.html)，或使用 AWS Cost Explorer Service (檢視一段時間內成本趨勢的工具) 和成本效益服務 (例如 [Amazon S3 Storage Lens](https://aws.amazon.com/blogs/aws/s3-storage-lens/) 和 [AWS Compute Optimizer](https://aws.amazon.com/compute-optimizer/))。

### 在組織資源中規劃標記策略並強制執行標籤
<a name="bp_multi-acct_plan-tagging"></a>

隨著帳戶和工作負載的擴展，標籤對於成本追蹤、存取控制和資源管理來說是一項實用的功能。對於標記命名策略，請遵循[標記 AWS 資源](https://docs.aws.amazon.com/tag-editor/latest/userguide/tagging.html)中的指導。除了資源之外，您還可以在組織根目錄、帳戶、OU 和政策上建立標籤。請參閱「[擬定您的標記策略](https://docs.aws.amazon.com/whitepapers/latest/tagging-best-practices/building-your-tagging-strategy.html)」以取得其他資訊。